[KB3403] Konfigurera min autentiseringsändpunkt för användning med ESET Secure Authentication

• Konfigurera ESET Secure Authentication (ESA) för användning med din slutpunkt för autentisering
• Klienten validerar inte användarnamn och lösenord
• Klienten validerar användarnamn och lösenord
• Använd funktionen Access-Challenge i RADIUS
• Klienten validerar inte användarnamn och lösenord - undvik sammansatt
• <deprecated>
• Exempel på integrationsguider

ESA skiljer mellan tre klienttyper (t.ex. VPN) baserat på hur de hanterar autentisering i en Active Directory-miljö (AD).

Klienten validerar inte användarnamn och lösenord

Alla VPN bör stödja detta scenario. Om du anger Client Type till Client does not validate username and password när du konfigurerar en RADIUS-klient i ESA:s webbkonsol verifieras båda faktorerna (användarnamn och lösenord som första faktor och OTP som andra faktor) av ESA.

Krav och önskemål

Konfigurera autentiseringen av din VPN-anslutning så att den använder RADIUS-autentisering som pekar på en RADIUS-server som du har konfigurerat i ESA:s webbkonsol.

Hur fungerar det här?

• SMS-baserade OTP:erVid det första inloggningsförsöket uppmanas användaren att ange ett lösenord. Inloggningsförsöket misslyckas, men användaren får en OTP via SMS. Vid det andra inloggningsförsöket anger användaren den OTP som de fick i lösenordsfältet.

• Mobile Application OTPs / Hard Token OTPs - Användaren loggar in med både lösenord och OTP på samma gång som passwordOTP.

• Mobile Application Push - Användare försöker logga in med sina inloggningsuppgifter. En push-notis genereras på användarens mobila enhet. Godkännande av meddelandet resulterar i en lyckad inloggning.

• Användare utan 2FA / vitlistad användare: Användaren loggar in med sina inloggningsuppgifter. ESA validerar lösenordet.

Klienten validerar användarnamn och lösenord

Se till att VPN stöder detta och är korrekt konfigurerat. Felaktig konfiguration kan leda till att lösenordsverifieringen hoppas över. Om du ställer in Client Type till Client validates username and password när du konfigurerar en RADIUS-klient i ESA:s webbkonsol, valideras den första faktorn (användarnamn och lösenord) av AD.

Krav på autentisering

Konfigurera en autentisering som pekar mot din server och en RADIUS-autentisering som pekar mot ESA:s RADIUS-server.

Hur fungerar det här?

• SMS-baserade OTP:er - Det krävs två inloggningsförsök. Först anger användarna sitt lösenord i det första lösenordsfältet och skriver sedan sms utan citattecken. Om användarnamn och lösenord är korrekta visas inloggningsskärmen igen utan något felmeddelande och användaren får en OTP via SMS. Vid det andra inloggningsförsöket anger användaren den mottagna OTP:n i det andra lösenordsfältet.

• Mobile Application OTPs / Hard Token OTPs - Användaren anger den genererade OTP:n i fältet för det andra lösenordet.

• Mobile Application Push - Användaren skriver in "empty", "none" användarnamn eller "push" utan citattecken i det fältet. ESA genererar en push-notis och väntar på att den ska godkännas.

• Användare utan 2FA / vitlistad användare: Användaren lämnar det andra lösenordsfältet tomt eller skriver "none" eller "push" utan citattecken i fältet.

Använd funktionen Access-Challenge i RADIUS

Använd det här alternativet om VPN-servern endast kontaktar ESA RADIUS för att verifiera båda faktorerna (användarnamn och lösenord som den första faktorn och OTP som den andra faktorn), men autentiseringen består av två steg.

Följande RADIUS-klienter stöder funktionen RADIUS Access-Challenge:

• Junos Pulse (VPN)
• Linux PAM-modul

Följande RADIUS-klienter bör inte användas med Access-Challenge-funktionen:

• Microsoft RRAS

Förutsättningar

Konfigurera autentiseringen av din VPN-anslutning så att den använder RADIUS-autentisering som pekar på en RADIUS-server som du har konfigurerat i ESA Web Console.

Hur fungerar det?

• SMS-autentisering: Användare loggar in med sina inloggningsuppgifter, på nästa skärm eller i popup-dialogrutan anger de den OTP som de fått via SMS.

• Mobil OTP / hård token: Användare loggar in med sina inloggningsuppgifter, i nästa skärm eller popup-dialog anger de den genererade OTP.

• Push-autentisering: Användare loggar in med sina inloggningsuppgifter och godkänner det genererade push-meddelandet.

• Användare utan 2FA / vitlistad användare: Användare använder endast inloggningsuppgifter.

Klienten validerar inte användarnamn och lösenord - undvik förening

Krav som ställs

Exempel på integrationsguider

Klicka på lämplig länk nedan för att visa integrationsguiden för ESET Secure Authentication för din konfiguration. Integrationsguiderna är utformade för att användas i kombination med funktionsdokumentet ESET Secure Authentication Verifying ESA RADIUS. Observera att vissa av guiderna kan vara föråldrade och fungerar som ett exempel. För en aktuell integrationsguide, kontakta leverantören av din VPN-appliance med avseende på de klienttyper som stöds och som beskrivs ovan.

VPN-, brandväggs- och UTM-slutpunkter:

• Barracuda
• Check Point Software
• Cisco ASA IPsec
• Cisco ASA SSL
• Citrix Access Gateway
• Citrix Netscaler
• Cyberoam
• Fortinet Fortigate
• Microsoft Forefront Threat Management Gateway
• Netasq

Slutpunkter för moln och VDI

• Citrix XenApp server

Förutom de applikationsspecifika integrationsguiderna rekommenderar vi att du även läser onlinehjälpen för ESET Secure Authentication när du implementerar ESET Secure Authentication. Om du planerar att lägga till ESET Secure Authentication i en befintlig applikation med hjälp av ESET Secure Authentication API finns även dokumenten ESET Secure Authentication API User Guide och ESET Secure Authentication SSL Certificate Replacement tillgängliga.